Trezor bekreftet torsdag at et sikkerhetsbrudd hos en av deres logistikkpartnere har eksponert personopplysninger til 13 689 kunder. Navn, hjemmeadresser, telefonnumre og e-postadresser ble hentet ut.
Ingen krypto ble flyttet. Trezor sier at deres egne systemer, enhetene og kundenes lommebokkopier aldri ble berørt. Skaden ligger hos en ekstern leverandør.
Hva Trezor-databruddet avdekket
ShipMonk lagrer og sender ut Trezor-bestillinger. Den 10. august varslet de Trezor om at en inntrenger hadde fått tilgang til systemer med kundedata.
Eksponeringen deles i to. Omtrent 11 742 kjøpere mistet alt, altså navn, e-post, telefonnummer og full leveringsadresse. Ytterligere 1 947 mistet kun navn, by og e-post.
Tidspunktet avgjør hvem som er rammet. Lekkasjen gjelder for bestillinger levert mellom 10. mai og 8. august i år i USA, Storbritannia, Sverige, Colombia, Brasil, Italia og Portugal.
Eldre kjøpere ble spart på grunn av én regel. Trezor krever at partnere sletter eller anonymiserer bestillingsdata 90 dager etter levering, så tidligere forsendelser var allerede fjernet.
Det finnes én enkel test. Berørte kunder fikk en e-post fra [email protected]. Ingen e-post betyr ingen eksponering.
Et detalj som svir. ShipMonk har SOC 2 Type II-sertifisering, en revidert sikkerhetsstandard, og ble likevel rammet av et brudd.
Hvorfor lekket adresse er verre enn lekket e-post
En e-post alene gir en svindler lite. Et navn, en hjemmeadresse og et telefonnummer sammen betyr mye mer. Det identifiserer en bestemt person på en bestemt adresse som kryptokjøper.
Trezor forklarte hvordan det kan utnyttes. Svindlere kan sende falske e-poster, ringe opp, sende svindelbrev eller utgi seg for å være bank, børs eller Trezor selv.
Mønsteret har skjedd før. Ledger mistet omtrent 1 million kunders e-poster i juli 2020. Rundt 9500 av disse fikk også full postadresse eksponert, og falske brev om recovery phrase dukket opp hjemme hos dem flere år senere.
Sammenlign størrelsen nå. Trezors brudd eksponerte komplette adresser for 11 742 personer, flere enn de 9500 Ledger-kundene som ble rammet i 2020.
Ledger-sjef Pascal Gauthier svarte på den samme frykten i 2020, og logikken gjelder fortsatt.
“det er umulig å finne noen sammenheng mellom de dataene som har lekket og midlene på din lommebok,” sto det i et utdrag fra Ledgers kunngjøring.
Angripere hadde allerede merkevaren i sikte. En nylig Trezor phishing-annonse dukket opp bare dager før dette ble offentliggjort. I tillegg har falske support-telefonsvindler tappet millioner fra eiere i år.
Leverandører fortsetter å være det svake leddet. Ledgers betalingsformidler-brudd lekket kunders bestillingsdata i januar.
Hva Trezor-eiere bør gjøre nå
Rådene er korte og de fungerer. Behandle hastverk som et faresignal. Dobbeltsjekk alt mistenkelig mot Trezors offisielle kanaler. Skriv aldri inn en lommebokkopi på et nettsted.
“Skriv aldri inn din wallet backup på et nettsted eller del det med noen,” skrev Trezor i en blogg.
To vaner reduserer fremtidig eksponering. Bestill med en e-postadresse som ikke er knyttet til ditt virkelige navn, og betal med krypto der det er mulig.
Trezor har også lovet et Anonymous Delivery-alternativ basert på hentebokser og nøytral emballasje. Målet er lansering i EU innen september og i USA innen utgangen av 2026.
Trezor sier at dette er det første bruddet siden 2013 som har eksponert kunders telefonnumre og leveringsadresser. Maskinvaren er fortsatt trygg. Det svake punktet var aldri enheten. Det var esken den kom i.
